curl libcurl: Endlosschleife durch fehlende Server-Antwortzeile in Pingpong-Protokollen

Zusammenfassung

Eine Schwachstelle im Pingpong-Code von libcurl, der von FTP, IMAP, POP3 und SMTP gemeinsam genutzt wird, erlaubt einem bösartigen Server, die letzte Steuerantwortzeile dauerhaft wegzulassen. Der Client gerät dann in eine Endlosschleife und umgeht das konfigurierte Transfer-Timeout, wodurch alle parallelen Transfers über dasselbe Multi-Handle blockiert werden. Der Angreifer muss den Server kontrollieren, mit dem sich der Client verbindet, und der Server muss die Daten mit Lesegeschwindigkeit liefern, was die Ausnutzung in der Praxis erschwert.

Betroffen

• libcurl 8.10.0 bis einschliesslich 8.22.0 (laut curl-Advisory)
• Nicht betroffen: curl vor 8.10.0 sowie 8.23.0 oder neuer
• Nicht betroffen: 8.20.2 und neuer im 8.20.X-Zweig, 8.16.2 und neuer im 8.16.X-Zweig, 8.14.3 und neuer im 8.14.X-Zweig
• Das curl-Kommandozeilenwerkzeug ist laut Recherchenotizen nicht betroffen; Anwendungen, die libcurl einbinden, sind betroffen
• Der Status unterscheidet sich je Distribution: Ubuntu 26.04 LTS ist in 8.18.0-1ubuntu2.8 behoben, Ubuntu 24.04 LTS und älter sind nicht betroffen, Debian bookworm ist nicht betroffen, Debian trixie ist betroffen ohne geplante DSA, Debian sid ist in 8.23.0-1 behoben

Behoben in

• Upstream curl 8.23.0 (Fix-Commit 753735af87f5c30cb6f60a7)
• Ubuntu 26.04 LTS: 8.18.0-1ubuntu2.8
• Debian sid: 8.23.0-1; Debian forky: zum Zeitpunkt der Recherche betroffen
• Andere Hersteller (Windows, macOS, Appliances, Embedded-Firmware): Unbekannt.

Umgehung

• Das curl-Projekt nennt keinen Workaround. Ein Update ist die einzige genannte Behebung.
• Ein konfiguriertes Transfer-Timeout darf nicht als Schutz vorausgesetzt werden, da die Schwachstelle es umgeht.
• Übergangsmassnahme (nicht aus einer Quelle): Festlegen, welche FTP-, IMAP-, POP3- und SMTP-Server Anwendungen kontaktieren dürfen, und Benutzern nicht erlauben, beliebige Server-URLs anzugeben, bis gepatcht wurde.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC führt Exploitation: poc, Automatable: no, Technical Impact: total.
• Entdeckt von Joshua Rogers (Aisle Research).

Unsere Empfehlung

• Erfassen, wo libcurl eingesetzt wird, einschliesslich mitgelieferter Kopien in Anwendungen, und bei den Herstellern dieser Anwendungen korrigierte Versionen anfragen.
• System-curl und libcurl auf das korrigierte Paket der eigenen Distribution aktualisieren oder bei eigenen Builds auf upstream curl 8.23.0.
• Debian 13 (trixie) hat noch keine DSA: nächsten Point-Release verfolgen oder einen Backport einspielen.
• Vom Benutzer angegebene FTP-, IMAP-, POP3- und SMTP-Server-URLs bis zum Patch einschränken.
• Den NVD-Score nach Abschluss der Analyse erneut prüfen; der Vektor überzeichnet die vom curl-Projekt als niedrig eingestufte Auswirkung.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• curl security advisory CVE-2026-92387 curl.se
• curl JSON metadata CVE-2026-92387 curl.se
• curl 8.23.0 announcement curl.se
• OSV CURL-CVE-2026-92387 osv.dev
• Ubuntu CVE-2026-92387 ubuntu.com
• Debian security tracker CVE-2026-92387 security-tracker.debian.org
• HackerOne report 4022003 hackerone.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:33.